Август — VDS в Амстердаме, репутация в сети и новый рецепт «1С-Битрикс: Веб-окружение»
Пролетел, пронёсся, промчался и ещё много «про», указывающих на скоротечность времени. Это мы об августе — финальной летней точке. И заодно о множестве рабочих новостей, которые успели произойти за этот месяц.
А пока вы ещё не погрузились в наш дайджест, держите совет: отложите чтение до сентября. Дайджест никуда не денется, а вот последние тёплые деньки с нами явно ненадолго — насладитесь ими на полгода вперёд!
Статьи и инструкции
Обзор изменений (и их последствий) в Linux 6.10
Несколько запоздалый, но всё-таки обзор изменений (и их последствий) в Linux 6.10
14 июля свет увидел новый 6.10 релиз ядра Linux. Завершившийся цикл разработки выдался продуктивным и содержит много интересного. С момента предыдущего релиза прошло 2 месяца, за которые изменилось больше 12 000 файлов.
В статье обсуждаем, какие нововведения появились в Linux 6.10, и что по этому поводу говорит сам Линус Торвальдс.
firstvds.ru/blog/obzor-izmeneniy-i-ikh-posledstviy-v-linux-610
Репутация в сети: что это такое и роль хостинг-провайдера в ее защите
Современные технологии позволяют быстро публиковать информацию, включая недостоверные данные о людях и компаниях. И последнее удалить сложнее всего. В 2023 году суды рассматривали 714 исков о защите репутации, многие из которых касались ложных сведений в сети.
В статье обсудим деловую репутацию в интернете, её защиту и роль хостинг-провайдеров в удалении недостоверной информации.
firstvds.ru/blog/reputaciya-v-seti-chto-eto-takoe
Что такое персональные данные, их хранение и обработка
Согласно Positive Technologies, каждая вторая хакерская атака приводит к утечке данных. 2024 год уже устанавливает рекорды: количество судебных дел о защите персональных данных в России выросло на 70%, законодательство ужесточается.
Если ваша политика по персональным данным основана на документах 2014 года, эта статья для вас. Мы расскажем, как собирать, хранить и обрабатывать персональные данные в рамках закона.
firstvds.ru/blog/chto-takoe-personalnye-dannye
Habr: самое интересное за июль
Новости августа
Запуск VDS в Амстердаме!
Пожалуй, главная новость прошедшего месяца — открытие заказа серверов с локацией в Амстердаме, в дата-центре euNetworks. На этой локации были запущены тарифы только с NVMe-накопителями: готовые VDS и гибкий VDS Форсаж.
В данный момент заказ VDS с этой локацией временно приостановлен — в связи с очень высоким спросом. Наши инженеры уже занимаются масштабированием кластера и установкой дополнительного оборудования, поэтому совсем скоро ожидается новое поступление серверов с этой локацией.
Подписывайтесь на наш тг-канал и следите за новостями, чтобы не пропустить.
Повышение цен на «Кибер Бэкап»
В сентябре компания «Киберпротект» повысит стоимость своих продуктов. Мы в свою очередь тоже будем вынуждены внести изменения в прайс.
С 1 сентября новая стоимость услуги «Кибер Бэкап» (ex-Acronis) составит:
Рецепт «1С-Битрикс: Веб-окружение» на CentOS 9 Stream
В конце июня мы сообщали о завершении поддержки CentOS 7 и представили рецепт для Битрикс на Debian. Теперь 1С-Битрикс выпустила окружение VMBitrix 9.0.0 с переходом на CentOS 9 Stream.
Новый рецепт «1C-Битрикс: Веб-окружение» уже доступен на нашем сайте. Установка возможна только на чистый сервер, бесшовное обновление недоступно.
Если вы собираетесь развернуть проект на Битрикс, посмотрите мощный тариф «CPU.Турбо 2.0» с CPU до 5,7 ГГц — он оптимален для ресурсоемких проектов.
firstvds.ru/hosting/bitrix
Топ-9 новостей августа из мира безопасности
«Дыра» в Roundcube Webmail
Специалисты компании Sonar обнаружили критические недостатки безопасности в Roundcube Webmail, которые позволяют злоумышленникам исполнять вредоносный JavaScript в браузере пользователя, угрожая конфиденциальности данных. Так преступники могут украсть письма, контакты или пароли жертвы, а также отправлять сообщения от её имени — всё это после открытия зараженного письма.
Из нюансов: уязвимость CVE-2024-42009 может использоваться вообще без каких-либо действий от пользователя, в то время как для CVE-2024-42008 требуется всего лишь один клик.
В начале августа были выпущены обновления для версий 1.6.8 и 1.5.8, которые устранили сразу три проблемы:
xakep.ru/2024/08/08/roundcube-webmail-flaws/
Проблема безопасности в PostgreSQL позволяет запускать SQL-код с правами пользователя, инициирующего pg_dump
9 августа 2024 года были представлены обновления для версий PostgreSQL 16.4, 15.8, 14.13, 13.16 и 12.20, которые исправили 56 дефектов, среди которых критическая уязвимость CVE-2024-7348 с рейтингом 8.8 из 10 по уровню опасности.
Эта уязвимость возникает из-за состояния гонки в утилите pg_dump, что предоставляет злоумышленнику, имеющему разрешения на создание и удаление объектов в СУБД, возможность выполнить произвольный SQL-код. Чтобы реализовать атаку, необходимо следить за моментом запуска pg_dump и заменить последовательность на представление или внешнюю таблицу.
Для устранения уязвимости добавлена опция «restrict_nonsystem_relation_kind», которая ограничивает доступ к не системным объектам в pg_dump.
www.opennet.ru/opennews/art.shtml?num=61677
Уязвимость в CPU AMD позволяет получить доступ к SMM
Уязвимость, известная как Sinkclose (CVE-2023-31315), выявлена в процессорах AMD. Она затрагивает возможность внесения изменений в настройки SMM (System Management Mode) и выполнения кода на этом уровне, что позволяет обойти SMM Lock. Это открывает неограниченный доступ к системной памяти и предоставляет контроль над ОС.
Причиной уязвимости стала ошибка в проверке моделезависимых регистров (MSR). Затронутыми являются процессоры AMD, производимые с 2006 года, включая модели EPYC и Ryzen. Были выпущены обновления микрокода для мобильных и десктопных версий, встраиваемые обновления ожидаются в октябре. Для удаления вредоносного кода необходимо использовать программатор SPI Flash.
www.opennet.ru/opennews/art.shtml?num=61684
Intel обновила микрокод 0x129 для Raptor Lake
Компания Intel сообщила о проблемах с процессорами Core 13-го и 14-го поколений (Raptor Lake), которые могут вызывать сбои. Для техники с уже возникшими неполадками предусмотрена замена, а новые устройства получат BIOS с микрокодом 0x129 для предотвращения неисправностей.
Обновление не решит проблемы у имеющихся процессоров, но поможет моделям K, KF и KS, ограничивая напряжение до 1,55 В. Intel продляет гарантию на два года для клиентов с неисправностями и предлагает обмен через поддержку или OEM-партнёров.
3dnews.ru/1109280/intel-opublikovala-ofitsialnoe-zayavlenie-o-sposobah-resheniya-problemi-s-protsessorami-raptor-lake
Даунгрейд-атака позволяет использовать старые уязвимости в Windows
На конференции Black Hat 2024 специалист компании SafeBreach Алон Левиев сообщил о наличии двух 0-day уязвимостей (CVE-2024-38202 и CVE-2024-21302), которые открывают возможность даунгрейд-атак на операционные системы Windows 10, 11 и Server. Такие атаки могут привести к повторной эксплуатации устаревших уязвимостей даже на полностью обновленных устройствах.И на данный момент решения для устранения этих проблем ещё не разработаны.
Даунгрейд-атаки заставляют системы возвращаться к предыдущим версиям ПО, что вновь делает их уязвимыми. Левиев подчеркнул, что с помощью этих уязвимостей можно снизить уровень защиты, затрагивая такие компоненты, как Credential Guard и Hyper-V, что открывает доступ к старым уязвимостям повышения привилегий.
В феврале 2024 года он уведомил Microsoft о данных уязвимостях, но компания всё еще занятa их исправлением. В Microsoft заявили, что пока не зафиксировали фактов эксплуатации этих уязвимостей, и рекомендовали соблюдать меры безопасности до выпуска патчей.
xakep.ru/2024/08/09/windows-downdate/
Уязвимость IPv6 в Windows
15 августа 2024 года Microsoft сообщила о серьезной уязвимости в IPv6 (CVE-2024-38063), позволяющей злоумышленникам удалённо выполнять код на Windows 10, 11 и Server из-за целочисленного переполнения в TCP/IP.
Уязвимость, выявленная экспертом из Kunlun Lab, может эксплуатироваться через специально подготовленные IPv6 пакеты без аутентификации. Отключение IPv6 не решает проблему, так как атака может быть произведена до обработки пакетов. Полное отключение IPv6 может вызвать сбои в системе. Дастин Чайлдс из Trend Micro назвал уязвимость одной из самых серьезных. Исправлена в последнем обновлении, рекомендуется установить обновления безопасности.
3dnews.ru/1109495/obnarugena-uyazvimost-windows-ugrogayushchaya-sistemam-so-vklyuchyonnim-ipv6
Компания расширяет лимиты FAT32 в Windows 11
В последней сборке Windows 11 на канале Canary компания Microsoft увеличила максимальный размер раздела FAT32 до 2 Тбайт, что превышает предыдущий лимит в 32 Гбайт. Данное обновление доступно в сборке 27686, позволяя пользователям использовать команду «format» в командной строке для создания больших разделов без помощи дополнительных утилит.
Стоит отметить, что Windows продолжает поддерживать чтение FAT32-разделов объемом более 32 Гбайт, созданных в других ОС. Однако графический инструмент форматирования сохраняет свое ограничение на уровне 32 Гбайт.
Другая новинка в 27686 — обновление Windows Sandbox Client, которое включает новые функции, такие как возможность общего доступа к папкам. Также улучшена эффективность работы аккумулятора и исправлен индикатор заряда на экране блокировки. Участники программы Windows Insider теперь могут отправлять диагностическую информацию Microsoft с ограничением в 10 Мбайт в день через Ethernet и Wi-Fi.
3dnews.ru/1109547/microsoft-uvelichila-maksimalniy-razmer-razdela-fat32-v-windows-11-s-32-gbayt-do-2-tbayt-no-poka-ne-dlya-vseh
Microsoft сломала ПК с двойной загрузкой Windows и Linux в последнем обновлении безопасности
В новом обновлении безопасности, Microsoft неожиданно нарушила работу ПК, на которых установлены Windows и Linux в режиме двойной загрузки. Цель обновления была исправить уязвимость в загрузчике GRUB, однако оно привело к сложностям с загрузкой операционной системы Linux. Пользователи Ubuntu быстро нашли способ решить этот недуг, отключив Secure Boot в BIOS и удалив политику Microsoft SBAT через терминал. Secure Boot, применяемый Microsoft для обеспечения безопасности Windows 11, оказался под угрозой и подвергся атакам на некоторых компьютерах.
3dnews.ru/1109797/poslednee-obnovlenie-bezopasnosti-microsoft-slomalo-pk-s-dvoynoy-zagruzkoy-windows-i-linux
Переход Debian 11 на LTS
Debian 11 «Bullseye» завершает стандартную поддержку и переходит на Long Term Support (LTS) до 31 августа 2026 года. Поддержка текущей версии Debian 12 продлится до 10 июня 2026 года с LTS-обновлениями до 30 июня 2028 года.
Обновления будет предоставлять команда LTS Team. Поддержка включает архитектуры i386, amd64, arm64 и armhf. Некоторые пакеты, например, такие как chromium, xen, phppgadmin, tor и другие, не будут обновляться.
С завершением LTS начнётся «Расширенное LTS» от Freexian для выбранных пакетов до 2031 года. Теперь поддержка может длиться до 10 лет.
www.opennet.ru/opennews/art.shtml?num=61707
А пока вы ещё не погрузились в наш дайджест, держите совет: отложите чтение до сентября. Дайджест никуда не денется, а вот последние тёплые деньки с нами явно ненадолго — насладитесь ими на полгода вперёд!
Статьи и инструкции
Обзор изменений (и их последствий) в Linux 6.10
Несколько запоздалый, но всё-таки обзор изменений (и их последствий) в Linux 6.10
14 июля свет увидел новый 6.10 релиз ядра Linux. Завершившийся цикл разработки выдался продуктивным и содержит много интересного. С момента предыдущего релиза прошло 2 месяца, за которые изменилось больше 12 000 файлов.
В статье обсуждаем, какие нововведения появились в Linux 6.10, и что по этому поводу говорит сам Линус Торвальдс.
firstvds.ru/blog/obzor-izmeneniy-i-ikh-posledstviy-v-linux-610
Репутация в сети: что это такое и роль хостинг-провайдера в ее защите
Современные технологии позволяют быстро публиковать информацию, включая недостоверные данные о людях и компаниях. И последнее удалить сложнее всего. В 2023 году суды рассматривали 714 исков о защите репутации, многие из которых касались ложных сведений в сети.
В статье обсудим деловую репутацию в интернете, её защиту и роль хостинг-провайдеров в удалении недостоверной информации.
firstvds.ru/blog/reputaciya-v-seti-chto-eto-takoe
Что такое персональные данные, их хранение и обработка
Согласно Positive Technologies, каждая вторая хакерская атака приводит к утечке данных. 2024 год уже устанавливает рекорды: количество судебных дел о защите персональных данных в России выросло на 70%, законодательство ужесточается.
Если ваша политика по персональным данным основана на документах 2014 года, эта статья для вас. Мы расскажем, как собирать, хранить и обрабатывать персональные данные в рамках закона.
firstvds.ru/blog/chto-takoe-personalnye-dannye
Habr: самое интересное за июль
- Как рождалась и умирала легенда. Двадцатилетняя история Skype
- История Роберта Нойса: создателя интегральных схем и основателя Intel
- Миссия Opportunity: скачок в исследовании Марса
- 3D-печать для чайников. Часть 2: Разработка и подготовка моделей для печати
Новости августа
Запуск VDS в Амстердаме!
Пожалуй, главная новость прошедшего месяца — открытие заказа серверов с локацией в Амстердаме, в дата-центре euNetworks. На этой локации были запущены тарифы только с NVMe-накопителями: готовые VDS и гибкий VDS Форсаж.
В данный момент заказ VDS с этой локацией временно приостановлен — в связи с очень высоким спросом. Наши инженеры уже занимаются масштабированием кластера и установкой дополнительного оборудования, поэтому совсем скоро ожидается новое поступление серверов с этой локацией.
Подписывайтесь на наш тг-канал и следите за новостями, чтобы не пропустить.
Повышение цен на «Кибер Бэкап»
В сентябре компания «Киберпротект» повысит стоимость своих продуктов. Мы в свою очередь тоже будем вынуждены внести изменения в прайс.
С 1 сентября новая стоимость услуги «Кибер Бэкап» (ex-Acronis) составит:
- Локальное хранилище — 9 руб/мес за 1 Гб.
- Облачное хранилище — 12 руб/мес за 1 Гб.
Рецепт «1С-Битрикс: Веб-окружение» на CentOS 9 Stream
В конце июня мы сообщали о завершении поддержки CentOS 7 и представили рецепт для Битрикс на Debian. Теперь 1С-Битрикс выпустила окружение VMBitrix 9.0.0 с переходом на CentOS 9 Stream.
Новый рецепт «1C-Битрикс: Веб-окружение» уже доступен на нашем сайте. Установка возможна только на чистый сервер, бесшовное обновление недоступно.
Если вы собираетесь развернуть проект на Битрикс, посмотрите мощный тариф «CPU.Турбо 2.0» с CPU до 5,7 ГГц — он оптимален для ресурсоемких проектов.
firstvds.ru/hosting/bitrix
Топ-9 новостей августа из мира безопасности
«Дыра» в Roundcube Webmail
Специалисты компании Sonar обнаружили критические недостатки безопасности в Roundcube Webmail, которые позволяют злоумышленникам исполнять вредоносный JavaScript в браузере пользователя, угрожая конфиденциальности данных. Так преступники могут украсть письма, контакты или пароли жертвы, а также отправлять сообщения от её имени — всё это после открытия зараженного письма.
Из нюансов: уязвимость CVE-2024-42009 может использоваться вообще без каких-либо действий от пользователя, в то время как для CVE-2024-42008 требуется всего лишь один клик.
В начале августа были выпущены обновления для версий 1.6.8 и 1.5.8, которые устранили сразу три проблемы:
- CVE-2024-42008 — XSS уязвимость, связанная с вредоносными вложениями;
- CVE-2024-42009 — XSS ошибка при обработке HTML-кода;
- CVE-2024-42010 — утечка данных из-за недостаточной фильтрации CSS.
xakep.ru/2024/08/08/roundcube-webmail-flaws/
Проблема безопасности в PostgreSQL позволяет запускать SQL-код с правами пользователя, инициирующего pg_dump
9 августа 2024 года были представлены обновления для версий PostgreSQL 16.4, 15.8, 14.13, 13.16 и 12.20, которые исправили 56 дефектов, среди которых критическая уязвимость CVE-2024-7348 с рейтингом 8.8 из 10 по уровню опасности.
Эта уязвимость возникает из-за состояния гонки в утилите pg_dump, что предоставляет злоумышленнику, имеющему разрешения на создание и удаление объектов в СУБД, возможность выполнить произвольный SQL-код. Чтобы реализовать атаку, необходимо следить за моментом запуска pg_dump и заменить последовательность на представление или внешнюю таблицу.
Для устранения уязвимости добавлена опция «restrict_nonsystem_relation_kind», которая ограничивает доступ к не системным объектам в pg_dump.
www.opennet.ru/opennews/art.shtml?num=61677
Уязвимость в CPU AMD позволяет получить доступ к SMM
Уязвимость, известная как Sinkclose (CVE-2023-31315), выявлена в процессорах AMD. Она затрагивает возможность внесения изменений в настройки SMM (System Management Mode) и выполнения кода на этом уровне, что позволяет обойти SMM Lock. Это открывает неограниченный доступ к системной памяти и предоставляет контроль над ОС.
Причиной уязвимости стала ошибка в проверке моделезависимых регистров (MSR). Затронутыми являются процессоры AMD, производимые с 2006 года, включая модели EPYC и Ryzen. Были выпущены обновления микрокода для мобильных и десктопных версий, встраиваемые обновления ожидаются в октябре. Для удаления вредоносного кода необходимо использовать программатор SPI Flash.
www.opennet.ru/opennews/art.shtml?num=61684
Intel обновила микрокод 0x129 для Raptor Lake
Компания Intel сообщила о проблемах с процессорами Core 13-го и 14-го поколений (Raptor Lake), которые могут вызывать сбои. Для техники с уже возникшими неполадками предусмотрена замена, а новые устройства получат BIOS с микрокодом 0x129 для предотвращения неисправностей.
Обновление не решит проблемы у имеющихся процессоров, но поможет моделям K, KF и KS, ограничивая напряжение до 1,55 В. Intel продляет гарантию на два года для клиентов с неисправностями и предлагает обмен через поддержку или OEM-партнёров.
3dnews.ru/1109280/intel-opublikovala-ofitsialnoe-zayavlenie-o-sposobah-resheniya-problemi-s-protsessorami-raptor-lake
Даунгрейд-атака позволяет использовать старые уязвимости в Windows
На конференции Black Hat 2024 специалист компании SafeBreach Алон Левиев сообщил о наличии двух 0-day уязвимостей (CVE-2024-38202 и CVE-2024-21302), которые открывают возможность даунгрейд-атак на операционные системы Windows 10, 11 и Server. Такие атаки могут привести к повторной эксплуатации устаревших уязвимостей даже на полностью обновленных устройствах.И на данный момент решения для устранения этих проблем ещё не разработаны.
Даунгрейд-атаки заставляют системы возвращаться к предыдущим версиям ПО, что вновь делает их уязвимыми. Левиев подчеркнул, что с помощью этих уязвимостей можно снизить уровень защиты, затрагивая такие компоненты, как Credential Guard и Hyper-V, что открывает доступ к старым уязвимостям повышения привилегий.
В феврале 2024 года он уведомил Microsoft о данных уязвимостях, но компания всё еще занятa их исправлением. В Microsoft заявили, что пока не зафиксировали фактов эксплуатации этих уязвимостей, и рекомендовали соблюдать меры безопасности до выпуска патчей.
xakep.ru/2024/08/09/windows-downdate/
Уязвимость IPv6 в Windows
15 августа 2024 года Microsoft сообщила о серьезной уязвимости в IPv6 (CVE-2024-38063), позволяющей злоумышленникам удалённо выполнять код на Windows 10, 11 и Server из-за целочисленного переполнения в TCP/IP.
Уязвимость, выявленная экспертом из Kunlun Lab, может эксплуатироваться через специально подготовленные IPv6 пакеты без аутентификации. Отключение IPv6 не решает проблему, так как атака может быть произведена до обработки пакетов. Полное отключение IPv6 может вызвать сбои в системе. Дастин Чайлдс из Trend Micro назвал уязвимость одной из самых серьезных. Исправлена в последнем обновлении, рекомендуется установить обновления безопасности.
3dnews.ru/1109495/obnarugena-uyazvimost-windows-ugrogayushchaya-sistemam-so-vklyuchyonnim-ipv6
Компания расширяет лимиты FAT32 в Windows 11
В последней сборке Windows 11 на канале Canary компания Microsoft увеличила максимальный размер раздела FAT32 до 2 Тбайт, что превышает предыдущий лимит в 32 Гбайт. Данное обновление доступно в сборке 27686, позволяя пользователям использовать команду «format» в командной строке для создания больших разделов без помощи дополнительных утилит.
Стоит отметить, что Windows продолжает поддерживать чтение FAT32-разделов объемом более 32 Гбайт, созданных в других ОС. Однако графический инструмент форматирования сохраняет свое ограничение на уровне 32 Гбайт.
Другая новинка в 27686 — обновление Windows Sandbox Client, которое включает новые функции, такие как возможность общего доступа к папкам. Также улучшена эффективность работы аккумулятора и исправлен индикатор заряда на экране блокировки. Участники программы Windows Insider теперь могут отправлять диагностическую информацию Microsoft с ограничением в 10 Мбайт в день через Ethernet и Wi-Fi.
3dnews.ru/1109547/microsoft-uvelichila-maksimalniy-razmer-razdela-fat32-v-windows-11-s-32-gbayt-do-2-tbayt-no-poka-ne-dlya-vseh
Microsoft сломала ПК с двойной загрузкой Windows и Linux в последнем обновлении безопасности
В новом обновлении безопасности, Microsoft неожиданно нарушила работу ПК, на которых установлены Windows и Linux в режиме двойной загрузки. Цель обновления была исправить уязвимость в загрузчике GRUB, однако оно привело к сложностям с загрузкой операционной системы Linux. Пользователи Ubuntu быстро нашли способ решить этот недуг, отключив Secure Boot в BIOS и удалив политику Microsoft SBAT через терминал. Secure Boot, применяемый Microsoft для обеспечения безопасности Windows 11, оказался под угрозой и подвергся атакам на некоторых компьютерах.
3dnews.ru/1109797/poslednee-obnovlenie-bezopasnosti-microsoft-slomalo-pk-s-dvoynoy-zagruzkoy-windows-i-linux
Переход Debian 11 на LTS
Debian 11 «Bullseye» завершает стандартную поддержку и переходит на Long Term Support (LTS) до 31 августа 2026 года. Поддержка текущей версии Debian 12 продлится до 10 июня 2026 года с LTS-обновлениями до 30 июня 2028 года.
Обновления будет предоставлять команда LTS Team. Поддержка включает архитектуры i386, amd64, arm64 и armhf. Некоторые пакеты, например, такие как chromium, xen, phppgadmin, tor и другие, не будут обновляться.
С завершением LTS начнётся «Расширенное LTS» от Freexian для выбранных пакетов до 2031 года. Теперь поддержка может длиться до 10 лет.
www.opennet.ru/opennews/art.shtml?num=61707
0 комментариев
Вставка изображения
Оставить комментарий